TP – La sécurité du projet « Fromagerie Lemoine en ligne »
BTS SIO SISR 2e année – Bloc 3 – S17 – en binôme ; partie F individuelle
Note
But. À partir d'un dossier de projet fictif, transformer des risques en exigences vérifiables, arbitrer un budget, écrire des tests de recette, vérifier le contrat d'un prestataire et rédiger la partie sécurité du dossier de projet, comme dans l'épreuve E7.
Durée : 3 h 10. Prérequis : cours S17 lu ; S02, S03, S04, S16. Aucune machine : tout se fait sur le dossier.
Note
Comment ce TP fonctionne. Tu anticipes (« J'anticipe »), tu complètes en citant le dossier (« d'après l'annexe 2… »), puis tu expliques (« Je comprends »). Un bilan de compétences clôt la séance.
Binôme : ____________ / ____________
Le dossier fictif
Annexe 1 – L'entreprise et le projet
La Fromagerie Lemoine (45 salariés : 8 au bureau et au commerce, 30 en production, 7 en livraison et au magasin) fabrique des fromages vendus aux restaurateurs, aux épiceries et, depuis ce projet, aux particuliers. Le projet « Fromagerie en ligne », à livrer dans quatre mois, comprend :
- une boutique en ligne : comptes clients (nom, adresse, courriel, historique de commandes) ; le paiement est confié à un prestataire de paiement : la fromagerie ne stocke aucune donnée de carte bancaire ;
- un hébergement externalisé du site et de la base clients chez un hébergeur ;
- des tablettes de production (saisie des lots, relevés de température, traçabilité sanitaire) reliées au réseau de l'atelier en Wi-Fi ;
- un accès distant pour quatre commerciaux et pour le responsable du site web (qui administre la boutique) ;
- la messagerie et le serveur de fichiers existants restent en place.
Budget total du projet : 34 000 €, dont une enveloppe sécurité de 8 500 € pour la première année (investissement et fonctionnement) ; l'équipe informatique est une personne à temps plein plus un prestataire sur devis.
Annexe 2 – Extrait du cahier des charges (version du chef de projet)
Art. 4 – Sécurité. Le site devra être sécurisé et résister aux attaques. Les mots de passe devront être robustes. Les données des clients seront protégées. L'accès à distance sera sécurisé. Une sauvegarde sera réalisée régulièrement. L'hébergeur garantira la sécurité du site.
Annexe 3 – Mesures candidates (prix fictifs, hors taxes)
| Réf. | Mesure | Investissement | Fonctionnement annuel | Temps interne |
|---|---|---|---|---|
| M1 | Pare-feu avec VPN et filtrage par zones | 2 400 € | 360 € | 3 jours |
| M2 | Authentification à deux facteurs (6 comptes d'administration et d'accès distant) | 0 € | 72 € | 1 jour |
| M3 | Reverse proxy et en-têtes de sécurité devant la boutique (service géré) | 0 € | 480 € | 1 jour |
| M4 | Sauvegarde hors ligne et hors site, avec test annuel de restauration | 900 € | 300 € | 2 jours + 1 jour par test |
| M5 | Audit de sécurité de la boutique avant mise en ligne | 3 200 € | 0 € | 2 jours |
| M6 | Journalisation centralisée (logiciel libre) avec alertes | 0 € | 0 € | 4 jours |
| M7 | Segmentation du Wi-Fi des tablettes (réseau dédié, authentification des équipements) | 1 200 € | 0 € | 3 jours |
| M8 | Sonde de détection d'intrusion | 3 500 € | 400 € | 5 jours puis 1 jour par mois |
| M9 | Formation des salariés (une journée, tous) | 1 500 € | 0 € | — |
| M10 | Sécurisation du serveur de fichiers et de la messagerie existants (droits, correctifs) | 0 € | 0 € | 5 jours |
Warning
Ces prix sont inventés pour l'exercice. Dans un vrai projet, on demande des devis. Un prix sans source est une hypothèse.
Annexe 4 – Contrat proposé par l'hébergeur (extraits)
Art. 3. L'hébergeur s'engage à une disponibilité de 99 % sur l'année, mesurée par ses soins. Art. 7. Les données hébergées restent la propriété du client. Art. 9. L'hébergeur ne saurait être tenu responsable des pertes de données. Art. 11. La résiliation entraîne la suppression des données dans un délai de 30 jours, sans restitution. Art. 12. L'hébergeur peut faire appel à tout sous-traitant de son choix.
Partie A – Des exigences vérifiables (≈ 40 min)
J'anticipe. Cite trois défauts de l'article 4 du cahier des charges (annexe 2) : ______________________
A1 – Réécrire
Réécris chaque phrase de l'article 4 en exigence précise et vérifiable, avec le risque visé :
| Phrase d'origine | Exigence réécrite | Risque visé | Séance |
|---|---|---|---|
| « Le site devra être sécurisé et résister aux attaques. » | |||
| « Les mots de passe devront être robustes. » | |||
| « Les données des clients seront protégées. » | |||
| « L'accès à distance sera sécurisé. » | |||
| « Une sauvegarde sera réalisée régulièrement. » | |||
| « L'hébergeur garantira la sécurité du site. » |
A2 – Compléter
Écris quatre exigences supplémentaires que l'article 4 oublie (par exemple sur la journalisation, les tablettes, le serveur de fichiers existant, la mise à jour).
Je comprends. Qu'est-ce qui rend une exigence vérifiable ? Donne un exemple avec et sans. ______________________
Partie B – Arbitrer (≈ 50 min)
B1 – Relier mesures et risques
Pour chaque mesure (annexe 3), indique le risque principal réduit, un niveau de réduction (faible, moyen, fort), et le coût de la première année (investissement + fonctionnement ; ne compte pas le temps interne dans le total en euros, mais note-le).
| Réf. | Risque réduit | Réduction | Coût première année (€) | Temps interne (jours) |
|---|---|---|---|---|
| M1 | ||||
| M2 | ||||
| M3 | ||||
| M4 | ||||
| M5 | ||||
| M6 | ||||
| M7 | ||||
| M8 | ||||
| M9 | ||||
| M10 |
Total première année si tout est retenu : ______ € pour une enveloppe de 8 500 €.
B2 – Décider
Classe les mesures et décide : faire maintenant, planifier (phase 2), ne pas faire (risque accepté). Justifie chaque décision, y compris celles de ne pas faire.
| Décision | Mesures | Justification |
|---|---|---|
| Maintenant | ||
| Phase 2 | ||
| Pas faire |
Je comprends.
- Quelles mesures sont peu coûteuses mais très utiles ? Pourquoi sont-elles souvent oubliées ? ______________________
- Le temps interne (une seule personne) est-il compatible avec ton choix en quatre mois ? ______________________
- Quel risque résiduel acceptes-tu, et qui le valide ? ______________________
Partie C – Les tests de recette (≈ 35 min)
Écris huit tests de recette de sécurité reliés à tes exigences de la partie A :
| Exigence | Test (action précise) | Résultat attendu | Preuve à fournir |
|---|---|---|---|
Je comprends. Un test est non conforme à la recette : que fait-on ? Quand le projet peut-il tout de même être livré avec une réserve ? ______________________
Partie D – Lire le contrat de l'hébergeur (≈ 30 min)
Analyse l'annexe 4. Pour chaque article, dis s'il est acceptable, à négocier ou inacceptable, avec la clause à demander.
| Article | Verdict | Problème | Clause demandée |
|---|---|---|---|
| Art. 3 (disponibilité 99 %, mesurée par l'hébergeur) | |||
| Art. 7 (propriété des données) | |||
| Art. 9 (pas de responsabilité sur les pertes de données) | |||
| Art. 11 (suppression sans restitution) | |||
| Art. 12 (sous-traitants au choix) |
J'anticipe. L'hébergeur traite des données personnelles de clients : de quel document la fromagerie a-t-elle besoin (séance S04) ? ______________________
Je comprends. À combien d'heures d'indisponibilité par an correspond une disponibilité de 99 % ? Est-ce compatible avec une boutique en ligne ? (Calcule : un an compte environ 8 760 heures.) ______________________
Partie E – Une analyse d'impact est-elle nécessaire ? (≈ 15 min)
Réponds brièvement (séance S04) :
- Le projet crée un nouveau traitement de données personnelles : quels sont les éléments à documenter (finalité, base, durée, destinataires) ? ______________________
- Quelles mesures de protection dès la conception et par défaut prévois-tu pour la boutique ? ______________________
- Qui doit être consulté avant la mise en ligne ? ______________________
Partie F – La partie sécurité du dossier, individuelle (≈ 30 min)
Rédige une à deux pages pour le dirigeant :
- Les risques principaux (trois à cinq) et les données concernées ;
- Les exigences retenues (renvoie à la partie A) ;
- Le plan de mesures : ce qui est fait maintenant, ce qui est planifié, ce qui est écarté (renvoie à la partie B), avec le coût ;
- La recette : comment on prouvera que c'est fait (partie C) ;
- L'exploitation : qui maintient quoi, avec quel temps ;
- Le risque résiduel accepté.
Critères : chaque proposition suit risque → mesure → justification → limite ; les chiffres viennent du dossier ; aucun sigle non expliqué.
Retour en entreprise (si ta situation le permet)
- Observer : dans un projet récent de ton entreprise, où la sécurité est-elle apparue : au départ, à la livraison, après ?
- Documenter : compare avec le cahier des charges de l'annexe 2.
Rendu
Compte rendu PDF, nommé RENDU-B3A2-S17-NOM.pdf, contenant les tableaux des parties A à D, les réponses de E et la note de F.
Bilan de la séance
| Compétence du référentiel | Ce que j'ai fait dans cette séance | Niveau |
|---|---|---|
| B3.1 – Protéger les données à caractère personnel | ||
| B3.4 – Garantir la disponibilité, l'intégrité et la confidentialité des services informatiques et des données de l'organisation face à des cyberattaques | ||
| B3.5A – Assurer la cybersécurité d'une infrastructure réseau, d'un système, d'un service |
Note
Je sais faire, sans aide :
- Transformer un risque en exigence vérifiable ;
- Arbitrer avec un budget et justifier ce qu'on ne fait pas ;
- Écrire des tests de recette de sécurité ;
- Repérer les clauses à négocier avec un prestataire ;
- Rédiger la partie sécurité d'un dossier de projet.
Ce que je dois reprendre : ______________________